Segnalazione a cura dell'avvocato Cassazionista Viviana Fiorella Liuzzi già inviata a Namirial S.p.A. e all'AgID relativa a firma digitale remota ed OTP

Lo scorso 13 settembre ho segnalato quanto potete vedere nel link di seguito http://www.studioliuzzieliuzzi.com/blog/index.php?otp-firma-digitale-non-funziona-sms-numeri-telemarketing

ed ho provveduto ad inviare formalmente, tramite PEC, la medesima segnalazione a Namirial S.p.A. inoltrandola per conoscenza all'Agid.

“Gentile cliente,
Le ricordiamo che l'indirizzo email corretto per richiedere assistenza per il servizio di firma digitale, è il seguente:
supportoca@namirial.com (indirizzo email ordinario)
basta inviare una segnalazione (tramite email ordinaria e non pec ) a supportoca@namirial.com, in modo tale da fornirle una corretta assistenza.
Cordiali saluti.
Namirial S.p.A “

In pari data ho contestato integralmente, inoltrando la copia anche all'Agid e chiedendo all'AGID un intervento per la sicurezza informatica di noi cittadini.

L'AGID ha protocollato le mie richieste come si vede dalle foto.

In data 19/09/2022 ho ricevuto una risposta da Namirial s.p.A, che ho già contestato integralmente in data odierna.

“Diversamente da quanto Voi asserito tramite PEC, sul sito della Vostra Società si indica chiaramente che

“La Firma Digitale Remota è una tipologia di Firma che non richiede l’utilizzo di smart card o di un hardware dedicato, perché si basa su OTP, ovvero password temporanee che scadono alcuni secondi dopo essere state generate” - ossia scadono pochi secondi dopo essere state generate, anche se non utilizzate- “eliminando quindi i rischi relativi all’utilizzo delle password statiche.”

Quindi nella Vostra PEC state dicendo esattamente il contrario di quanto indicato sul Vostro sito (ed ho la prova del fatto che, in passato mi avete inviato diverse OTP, non utilizzate e generate una dopo l'altra, dopo pochi secondi e non due sole OTP nell'arco di un'ora).”

Peraltro sarebbe contrario ad ogni forma di sicurezza la generazione di codici OTP per un massimo di due invii all'ora. Immaginiamo che un avvocato, con atti in scadenza, 30 minuti prima della mezzanotte di uno specifico giorno cercasse di firmare digitalmente, ma ritenesse di non poter utilizzare il codice OTP per ragioni di sicurezza propria e del proprio cliente...non potrebbe più firmare entro la mezzanotte e dovrebbe attendere un'ora prima di poter avere un nuovo codice OTP. Quindi in concreto presenterebbe l'atto fuori termine. Questo sarebbe gravissimo.

“Premesso tutto quanto sopra, veniamo ora ad analizzare il caso di specie.

In pari data, alle ore 19.10, veniva registrata una nuova richiesta di sottoscrizione con firma digitale remota con codice OTP correttamente inoltrato attraverso l’invio di n. 2 SMS. Anche in questa circostanza, gli ulteriori 37 tentativi di invio OTP da Lei effettuati tra le 19.10 e le 19.15 si rivelavano inefficaci in quanto il sistema già censiva il corretto invio per n. 2 volte dell’OTP tramite SMS alla Sua utenza telefonica.

“Per quanto riguarda il mio caso concreto, contesto integralmente la ricostruzione dei fatti da Voi riportata, non conforme alla realtà fattuale e di cui già Vi avevo informato.

Io ho ricevuto nell'arco di 9 ore , per tre volte la stessa OTP, come si vede dalla foto allegata (ho anche video e testimoni di ciò)”

“Con riferimento al mittente degli SMS da Lei ricevuti per conto della scrivente, da una verifica interna appare sempre presente l’alias “NamirialTSP”

“Come si evince dalla foto allegata, gli SMS- contenenti, nell'arco di 9 ore, sempre la stessa OTP,-sono arrivati due sole volte dall'alias Namirial e poi da numeri di telefono privi di alias.  

E poi non ho ricevuto ulteriori OTP, quindi non ho più potuto utilizzare la firma digitale remota Namirial e questo non accadeva prima.

Peraltro, come già segnalatoVi, l'SMS ricevuto dal numero di tel. 3701201771 (che potete vedere nella foto)  risulta segnalato on line quale operatore di telemarketing.